¿Qué suele estar desactivado por defecto en la mayoría de los servidores Linux?

Cuando se aprovisiona un servidor Linux nuevo, ya sea un VPS, un servidor dedicado bare-metal o una máquina virtual alojada en la nube, observará que el sistema arranca en un entorno deliberadamente minimalista y reforzado. No se trata de un descuido, sino de una elección de diseño intencionada. Las distribuciones modernas de Linux eliminan servicios y funcionalidades innecesarios para minimizar la superficie de ataque, conservar los recursos del sistema y ofrecer a los administradores un control preciso sobre lo que está activado. A continuación vamos a diseccionar las características y servicios más comunes que están desactivados (o simplemente ausentes) por defecto, y por qué esto es importante tanto para la seguridad como para la eficiencia operativa.

Inicio de sesión root SSH

El acceso root directo a través de SSH está casi universalmente deshabilitado en los servidores Linux actuales. Permitir el acceso remoto root es una vulnerabilidad evidente: una sola contraseña comprometida equivale a la propiedad total del sistema.

En su lugar, se espera que los administradores inicien sesión con un usuario sin privilegios y escalen privilegios a través de sudo o su.

Verificación:

Debería ver:

Autenticación por contraseña en SSH

En muchos servidores aprovisionados en la nube, la autenticación por contraseña también está deshabilitada, dejando las claves SS H como único mecanismo de autenticación. Las claves son resistentes a los ataques de fuerza bruta y elevan significativamente el listón para los intentos de acceso no autorizado.

Las instalaciones ISO tradicionales pueden seguir permitiendo el inicio de sesión con contraseña, pero la mejor práctica es desactivarlas inmediatamente.

Verificación:

Protocolos de red obsoletos

Los servicios heredados como Telnet, FTP, Rlogin y Rsh están ausentes de los servidores modernos. Estos protocolos transmiten credenciales y datos en texto claro, haciéndolos triviales de interceptar.

Han sido sustituidos por:

• SSH para acceso shell remoto

• SFTP/FTPS para transferencias seguras de archivos

Compruebe si hay servicios activos:

Si no aparecen puertos como el 21 (FTP) o el 23 (Telnet), esos servicios no se están ejecutando.

Interfaces gráficas de usuario (GUI)

A diferencia de las distribuciones de escritorio, las ediciones de servidor no incluyen GNOME, KDE u otros entornos gráficos. Una GUI consume memoria y ciclos de CPU, al tiempo que introduce dependencias de software adicionales que pueden ampliar la huella de seguridad.

La expectativa es clara: los servidores deben gestionarse a través de la CLI sobre SSH.

Cadenas de herramientas de desarrollo

Compiladores como gcc y utilidades de compilación como make están intencionadamente ausentes en la mayoría de las imágenes de servidor mínimas. La razón es doble:

1. Reducir el tamaño de la imagen base.

2. Para evitar que un atacante, en caso de obtener acceso, compile binarios maliciosos sobre la marcha.

Compruebe si GCC está presente:

Si el comando devuelve no encontrado, la cadena de herramientas no está instalada.

Instálelo manualmente si es necesario:

ICMP (Ping)

La mayoría de los servidores Linux responden a las peticiones de eco ICMP por defecto, aunque algunos proveedores de alojamiento lo desactivan a nivel de cortafuegos. Suprimir las respuestas ICMP hace que un servidor sea menos visible para los escáneres de red, pero también interfiere con la monitorización y el diagnóstico.

Prueba:

IPv6

IPv6 está activado por defecto en distribuciones modernas como Ubuntu, Debian y derivados de RHEL. Sin embargo, muchos proveedores de alojamiento lo desactivan a nivel de red si no ofrecen conectividad IPv6.

Compruebe si hay direcciones IPv6:

Conclusión

Los servidores Linux “out-of-the-box” se aprovisionan intencionadamente en un estado seguro y despojado. El inicio de sesión SSH raíz está deshabilitado, la autenticación por contraseña suele estar restringida y los protocolos heredados se omiten por completo. No se proporciona ningún entorno gráfico y los compiladores se excluyen de las compilaciones base.

Por el contrario, servicios como ICMP e IPv6 permanecen activados por defecto, pero pueden estar restringidos en función de la postura de seguridad del proveedor.

Esta filosofía de “seguro por defecto, extensible por elección” garantiza que los administradores conservan toda la capacidad de decisión: el servidor sólo expone lo que se requiere explícitamente para su función prevista. Es un modelo que maximiza tanto la seguridad operativa como la eficiencia del rendimiento.